Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-565

CVE-2026-119128

ZITADEL Login V2 arayüzünde tahmin edilebilir doğrulama çerezi nedeniyle hesap ele geçirme

zitadel

Yüksek 7,4 CVSS 3.1
Yayımlandı
Güncellendi
3 Kas 2026
Açık yaşı
7 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, kimlik doğrulama sisteminin kendisini hedef alır ve saldırganların kullanıcı hesaplarını başkalarının adına ele geçirmesine olanak tanır. Hesapların kontrolünün kaybedilmesi veri gizliliği ve müşteri güveni açısından ciddi iş riskleri doğurabilir. Bu nedenle güncellemenin öncelikli olarak uygulanması önerilir.

ÖzetTürkçe

ZITADEL'in 4.0.0 sürümünden 4.19.5 öncesine kadar olan sürümlerinde, Login V2 kullanıcı arayüzündeki bir kimlik doğrulama atlatma açığı bulunmaktadır. Bu sürümlerde kimlik doğrulama yöntemi tanımlanmamış kullanıcılar etkilenmektedir. Saldırgan kullanıcı kimliği ve tarayıcı parmak izinden geçerli bir verificationCheck çerezi üretebilmektedir.

Saldırgan ne yapabilir?

Kimliği doğrulanmamış bir saldırgan, etkilenen kullanıcının ilk kimlik bilgisini ayarlayarak parola belirleyebilir, geçiş anahtarı (passkey) kaydedebilir veya bir kimlik sağlayıcı bağlayabilir ve hesabı tamamen ele geçirebilir.

Kaynaktaki açıklama (İngilizce)

ZITADEL 4.0.0 before 4.19.5 contains an authentication bypass vulnerability in the Login V2 UI that allows unauthenticated attackers to set the first credential of users lacking any authentication method. Attackers can compute a valid verificationCheck cookie from the user ID and browser fingerprint to set a password, register a passkey, or link an identity provider, taking over the account.

Ne yapmalı?

  1. ZITADEL'i 4.19.5 veya sonraki bir sürüme yükseltin. Üretici
  2. Yükseltme yapılana kadar, kimlik doğrulama yöntemi tanımlanmamış hesapların bulunup bulunmadığını kontrol edin ve bu hesaplara ilk kimlik bilgisini kullanıcı adına manuel olarak atamayı değerlendirin. Genel öneri
  3. Yükseltme sonrasında hesapların parola, geçiş anahtarı ve bağlı kimlik sağlayıcı kayıtlarını gözden geçirerek yetkisiz bir değişiklik olup olmadığını inceleyin. Genel öneri

Ek önlemler

  • Yeni kullanıcı hesaplarında kimlik doğrulama yönteminin hemen tanımlanmasını zorunlu kılın. Genel öneri
  • Kimlik doğrulama yöntemi değişikliklerini (parola, geçiş anahtarı, kimlik sağlayıcı bağlantısı) izleyin ve olağandışı etkinlikler için uyarı oluşturun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
zitadel ≥ 4.0.0, < 4.19.5 4.19.5
4.19.5 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.